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@ Verfahren zur Oberprufung der Funktionsf ahigkett einer Recheneinheit 



) Es wird ein Verfahren zur Oberprufung der Funktlonsfahig- 
keit einer ersten Recheneinheit beschrieben, bei der in 
vorgegebenen Zeitabstanden ein Datenwort mit einer vorge- 
gebenen Anzahl von Datenbits von einer zweiten Rechenein- 
heit der ersten Recheneinheit zugefuhrt wird. Jedem Daten- 
btt ist eine Funktion rugeordnet. Die erste Recheneinheit 
invertiert nach Abarbeitung einer Funktion das zugehdrige 
Datenbrt und gtbt am Ende einer Zeitscheibe das Datenwort 
an die rwerta Recheneinheit, die das ubergebene Datenwort 
uberpruft. 
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Die Erfindung beschreibt ein Verfahren zur Oberpru- 
fung der Funktionsfahigkeit einer Recheneinheit nach 
dem Oberbegriff des Anspruchs 1. 

Sicherheitsrelevante Funktionen werden zunehmend, 
insbesondere im Kraftfahrzeug, von einer Rechenein- 
heit gesteuert Die Recheneinheit ist deshalb auf eine 
korrekte Funktionsweise zu uberprufen. Eine korrekte 
Funktionsweise der Recheneinheit beinhaltet eine zeit- 
gerechte Abarbeitung der vorgegebenen Funktionen, 
die beispielsweise anhand einer Laufzeituberwachung 
uberpruft wird. 

Aus DE41 14 999A1 ist ein System zur Steuerung 
eines Kraftfahrzeugs bekannt, bei dem eine erste Re- 
cheneinheit zur Bestimmung der Steuerdaten eines 
Kraftfahrzeugs und eine zweite Recheneinheit zur 
Oberwachung der ersten Recheneinheit vorgesehen 
sind Die erste Recheneinheit und die zweite Rechenein- 
heit sind jeweils mit einer unabhangigen Zeitbasis ver- 
bunden. Die zweite Recheneinheit gibt der ersten Re- 
cheneinheit erste Daten vor, aus denen die erste Re- 
cheneinheit nach einer Rechenvorschrift ein Ergebnis 
berechnet, das diese wieder an die zweite Recheneinheit 
zuruckgibt Die zweite Recheneinheit uberpruft, ob die 
von der ersten Recheneinheit zuruckgegebenen Daten 
korrekt und rechtzeitig zuruckgegeben werden. 

Die Aufgabe der Erfindung beruht darin, eine Verbes- 
serung der Oberwachung der korrekten Funktionswei- 
se der ersten Recheneinheit bereit zu stellen. 

Die Aufgabe der Erfindung wird durch die Merkmale 
des Anspruchs 1 gelost 

Ein wesentlicher Vorteil der Erfindung beruht darin, 
daB die Abarbeitung einzeiner Funktionen, die von der 
ersten Recheneinheit abgearbeitet werden, uberpruft 
wird. 

Vorteilhafte Ausbildungen und Verbesserungen der 
Erfindung sind in den Unteranspruchen angegebenen. 

Die Erfindung wird anhand der Figuren naher erlau- 
. tert; es zeigen: 

Fig- 1 einen schematischen Aufbau einer Steueran- 
ordnung fur ein Kraftfahrzeug, 

Fig. 2 einen schematischen Programmablauf zur 
Durchf uhrung des erfindungsgemaBen Verf ahrens und 

Fig. 3 ein Datenwort fur sicherheitsrelevante Funk- 
tionen. 

Im folgenden wird am Beispiel der Fig. 1, das schema- 
tisch eine Vorrichtung zum Steuern eines Kraftfahr- 
zeugs darsteilt, die Erfindung naher erlautert Fig. 1 
zeigt einen Kraftfahrzeugblock 1, der schematisch die in 
einern Kraftfahrzeug zu regelnden und steuernden 
Stellglieder darsteilt Der Kraftfahrzeugblock 1 weist 
beispielsweise eine elektronische Leistungsteuerung, 
ein elektronisches Bremssystem oder eine automatische 
Fahrgeschwindigkeitsregelung auf. Zudem sind in dem 
Kraftfahrzeugblock 1 die entsprechenden Sensoren und 
Geber beinhaltet, die die jeweilige Stellung der entspre- 
chenden Stellglieder und die Betriebsparameter des 
Kraftfahrzeugs und der Umwelt erfassea 

Die Stellglieder und Sensoren des Kraftfahrzeug- 
blocks 1 sind uber einen Datenbus 4 mit einer ersten 
Recheneinheit 2 verbunden. Vorzugsweise sind die 
Stellglieder und Sensoren des Kraftfahrzeugblocks 1 
auch mit einer zweiten Recheneinheit 3 uber den Daten- 
bus 4 verbunden. Die erste und die zweite Rechenein- 
heit 2y 3 stehen miteinander uber eine bidirektionale 
Datenleitung 8 in Verbindung. 

Weiterhin ist die erste Recheneinheit 2 uber eine 



SteuerJeitung 6 mit den entsprechenden Stellgliedern 
des Kraftfahrzeugblocks 1 verbunden. Die zweite Re- 
cheneinheit 3 ist uber eine Ansteuerleituhg 5 mit der 
ersten Recheneinheit 2 und vorzugsweise uber eine 
5 zweite Steuerleitung 7 mit den entsprechenden Stell- 
gliedern des Kraftfahrzeugblocks 1 verbunden. Die er- 
ste Recheneinheit 2 und die zweite Recheneinheit 3 sind 
jeweils an einen ersten bzw. zweiten Speicher 9, 10 an- 
geschlossen. 

io Im folgenden wird die Anordnung der Fig. 1 am Bei- 
spiel der elektronischen Leistungssteuerung einer 
Brennkraftmaschine mit Drosseiklappe beschrieben: 
Der Drosseiklappe ist ein Geber zugeordnet, der uber 
den Datenbus 4 die Steliposition der Drosseiklappe an 
is die erste Recheneinheit 2 gibt Zudem werden der er- 
sten Recheneinheit 2 uber die Sensoren des Kraftfahr- 
zeugblocks 1 Inforroationen tiber die Betriebsbedingun- 
gen des Kraftfahrzeugs und vorzugsweise weitere In- 
formationen uber AuBenbedingungen wie zum Beispiel 
20 die Umgebungstemperatur, die StraBenfeuchtigkeit 
usw.zugefuhrt 

Die erste Recheneinheit 2 berechnet nun aufgrund 
der Betriebsbedingungen des Kraftfahrzeugs nach vor- 
gegebenen Funktionen und/oder Tabellen, die im ersten 
25 Speicher 9 abgelegt sind, die Steliposition, die die Dros- 
seiklappe 1 einnehmen soil. Nach der Berechnung der 
Steliposition steuert die erste Recheneinheit 2 uber die 
Steuerleitung 6 den Steller, der der Drosseiklappe zuge- 
ordnet ist, mit einem der berechneten Steliposition ent- 
30 sprechenden Signal an. 

In einer einfachen Ausfuhrung ist die zweite Rechen- 
einheit 3 nicht mit dem Datenbus 4 verbunden und ver- 
fugt auch nicht uber die zweite Steuerleitung 7. In die- 
sem Fall uberpruft die zweite Recheneinheit 3 durch 
35 einen Datenaustausch uber die Datenieitung S nach ei- 
nem vorgegebenen Verfahren, das im zweiten Speicher 
10 abgelegt ist, die korrekte Funktionsweise der ersten 
Recheneinheit 2. 
In einer Weiterbildung der Erfindung ist die zweite 
40 Recheneinheit 3 auch an den Datenbus 4 angeschlossen 
und verfugt uber die zweite Steuerleitung 7. In diesem 
Fall berechnet die zweite Recheneinheit 3 fur bestimm- 
te Stellglieder aus den von den Sensoren des Kraftfahr- 
zeugs gelieferten Betriebsbedingungen und den abge- 
45 legten Funktionen und/oder Tabellen neue Stellpositio- 
nen. Nach der Berechnung der neuen Stellpositionen 
steuert die zweite Recheneinheit 3 uber die zweite Steu- 
erleitung 7 die entsprechenden Stellglieder entspre- 
chend an. Die Funktionen und/oder Tabellen zur Be- 
50 rechnung der Positionen der Stellglieder sind im zwei- 
ten Speicher 10 abgelegt 

Fig. 2 zeigt einen schematischen Programmablauf, 
mit dem die zweite Recheneinheit 3 uber einen Daten- 
austausch die erste Recheneinheit 2 auf eine korrekte 
55 Funktionsweise, insbesondere auf eine zeitgenaue Ab- 
arbeitung der vorgegebenen Funktionen, uberwacht In 
dem beschriebenen Beispiel ist der zeitliche Ablauf in 
Zeitscheiben eingeteilt, bei deren Beginn jeweils die 
zweite Recheneinheit 3 der ersten Recheneinheit 2 ein 
60 Datenwort 13 zufOhrt und bei deren Ende die erste Re- 
cheneinheit 2 der zweiten Recheneinheit 3 ein Sicher- 
heitswort zuruckgibt Eine Zeitscheibe dauert eine vor- 
gegebene Zeitdauer, vorzugsweise 10 ms. 

In der ersten Zeitscheibe 10 gibt die erste Rechenein- 
65 heit 2 zum Zeitpunkt TO ein Sicherheitswort 14, das in 
diesem Fall aus acht Bits besteht an die zweite Rechen- 
einheit 3. 

Die zweite Recheneinheit 3 gibt anschlieBend zu Be- 
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ginn der zweiten Zeitscheibe 20 zum Zeitpunkt Tl ein 
Datenwort 13 an die erste Recheneinheit 2. Die erste 
Recheneinheit 2 vergleicht das Datenwort 13 mit einem 
ira ersten Speicher 9 abgelegten Referenzwort 1Z Bei 
diesem Vergleich werden die einzelnen Bits des Daten- 
wortes 13 mit den entsprechenden einzelnen Bits des 
Referenzwortes 12 verglichen. Weist nun ein Bit des 
Datenwortes 13 einen anderen Wert auf, als das ent- 
sprechende Bit des Referenzwortes 12, so wird der Wen 
des entsprechenden Bits des Datenwortes von der er- 
sten Recheneinheit 2 an die entsprechende Position ei- 
nes Sicherheitswortes 14 geschrieben, das ebenfalis im 
ersten Speicher 9 abgelegt ist 

Die Bitpositionen werden im foigenden von rechts 
nach links mit der Position 1 bis 8 bezeichnet. Das Refe- 
renzwort 12 weist an der ersten Position den Wen 1, an 
der zweiten Position den Wert 1, an der dritten Position 
den Wert 0, an der vierten Position den Wert 0, an der 
funften Position den Wen 0, an der sechsten Position 
den Wert 1, an der siebten Position den Wert 1 und an 
der achten Position den Wert 0 auf. 

Das Datenwort 13 weist an der ersten Position den 
Wert 0, an der zweiten Position den Wert 0, an der 
dritten Position den Wert 1, an der vierten Position den 
Wert 1, an der funften Position den Wert 1, an der 
sechsten Position den Wert 0, an der siebten Position 
den Wert 0 und an der achten Position ebenfalis den 
Wert 0 auf . 

Damit unterscheiden sich die Bits des Datenwortes 13 
von der ersten Position bis zur siebten Position von den 
entsprechenden Bits des Referenzwortes 12. Somit 
schreibt die erste Recheneinheit 2 in das Sicherheits- 
won 14 die Werte der ersten sieben Bits des Datenwor- 
tes 13 in die entsprechenden ersten sieben Positionen 
des Sicherheitswortes 14. Dies ist in Fig- 2 durch eine 
Schraffur der entsprechenden Bits dargestellt. 

Das Datenwort 13 und das Sicherheitswort 14 sind so 
aufgebaut, daB jedes Bit mindestens einer Funktion, ins- 
besondere einer Funktion des Kraftfahrzeuges, zuge- 
ordnet ist In dem dargestellten Beispiel ist das Bit der 
ersten Position der Lageregelung der Drosselklappe, 
das Bit der zweiten Position der Oberwachung der 
Drosselklappe, bei der die Stellposition der Drossel- 
klappe rait einem zulassigen Bereich verglichen wird, 
das Bit der vierten Position der Betarigung des Brems- 
pedai und das Bit der sechsten Position einer Pedalwert- 
geberuberwachung (PWG-Oberwachung), bei der die 
Stellposition des Pedals mit einem zulassigen Bereich 
verglichen wird, zugeordnet 
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(Bedienschalter) verfahren. 

Die erste Recheneinheit 2 speichert das im zweiten 
Zeitbereich 20 eingegebene Datenwort 13 als neues Re- 
ferenzwort 14 fiir die dritte Zeitebene 30 ab. 

Wird nun eine Funktion von der ersten Recheneinheit 

2 zweimal nacheinander durchgefuhrt so wird der Wert 
des entsprechenden Bits im Sicherheitswort 14 nur beim 
ersten Mai gegenuber dem Wert des Datenwortes 13 
invertiert und beim zweiten Mai bleibt der einma! inver- 
tierte Wert erhaJten, da die erste Recheneinheit 2 nach 
der Abarbeitung einer Funktion in das entsprechende 
Bit des Sicherheitswortes 14 den invertierten Wert des 
entsprechenden Bits des Datenwortes 13 einschreibt 
Dies ist in der zweiten Zeitscheibe 20 am Beispiel des 
Lagereglers explizit dargestellt 

Die erste Recheneinheit 2 gibt das durch die Abarbei- 
tung von Funktionen entsprechend veranderte Sicher- 
heitswort 14 zu einem vorgegebenen Zeitpunkt T2 am 
Ende der zweiten Zeitscheibe 20 an die zweite Rechen- 
einheit 3. Im beschriebenen Ausfuhrungsbeispiel wird 
das Sicherheitswort 14 vorzugsweise 10 ms nach dem 
Erhalt des Datenwortes 13 an die zweite Recheneinheit 

3 ausgegebeit 

Die zweite Recheneinheit 3 uberpruft nun die Bits des 
Sicherheitswortes 14 mit einer vorgegebenen Tabelie, in 
der angegeben ist, welche Funktionen von der ersten 
Recheneinheit 2 zu dem gegebenen Zeitpunkt abgear- 
beitet sein sollten, so daB die entsprechenden Bits ge- 
genuber dem Datenwort 13 einen invertierten Wert auf- 
weisen mussen. Ist der Wert des entsprechenden Bits 
nicht invertiert, so wird ein Entprellzahler, der der 
Funktion des entsprechenden Bits zugeordnet ist, von 
der zweiten Recheneinheit 3 urn einen Wert erhoht 
Oberschreitet der Entprellzahler einen Maximalwert, so 
wird eine Fehlfunktion der entsprechenden Funktion 
erkannt 

Die von der ersten Recheneinheit 2 abzuarbeitenden 
Funktionen werden vorzugsweise zyklisch in verschie- 
denen Zeitabstanden abgearbeitet Bei dem beschriebe- 
nen Beispiel werden die Lageregelung und die Oberwa- 
chung der Drosselklappe, die den ersten zwei Bits des 
Datenwortes 13 und des Sicherheitswortes 14 entspre- 
chen, alle 5 ms durchgefuhrt Die ersten zwei Bits des 
Sicherheitswortes 14 werden somit von der zweiten Re- 
cheneinheit 3 nach jeder Zeitscheibe uberpruft und die 
ersten zwei Bits des Datenwortes 13 werden vor jeder 
Zeitscheibe invertiert 

Die erste Recheneinheit 2 arbeitet aber auch Funktio- 
nen ab, die nicht in jeder Zeitscheibe durchzufuhren 



Fuhrt nun die erste Recheneinheit 2 eine Funktion so sind. Beispielsweise wird die PWG-Oberwachung nur 



durch, so wird nach der Durchfuhnmg der Funktion das 
der Funktion entsprechende Bit des Sicherheitswortes 
14 im Vergleich zu dem Wen des entsprechenden Bits 
des Datenwortes 13 invertiert. Es ist jedoch auch mog- 
lich das Sicherheitswort 14 vor der Durchfuhrung der 
Funktion oder wahrend der Durchfuhrung der Funktion 
zu andern. Das veranderte Bit zeigt im wesentiichen an, 
daB eine vorgegebene Steile des Programmes zu einem 
vorgegebenen Zeitpunkt erreicht wurde. 

Zum Beispiel wird in der zweiten Zeitscheibe 20 nach 
Durchfuhrung der Drosselklappenuberwachung (DfC- 
Oberwachung) das Bit das an der zweiten Position im 
Sicherheitswort 14 steht von den Wen 0 auf den Wert 1 
verandert. Ebenso wird nach der Durchfuhrung der Pe- 
dalwertgeberuberwachung das Bit, das an der sechsten 
Position des Sicherheitswortes 14 steht, von dem Wert 0 
auf den Wert 1 verandert. Entsprechend wird auch bei 
der Lageregelung (Lageregler) und bei dem Bremspedal 



alle 10 ms durchgefuhrt Da eine Zeitscheibe 10 ms lang 
ist kommt es vor, daB in einer Zeitscheibe kerne PWG- 
Oberwachung durchzufuhren isL Die zweite Rechenein- 
heit 2 gibt in diesem Fall z. B. in der ersten Zeitscheibe 
10 das sechste Bit des Datenwortes 13 im Vergleich zum 
letzten Datenwort 13 invertiert an die erste Rechenein- 
heit 2. Die zweite Recheneinheit 3 uberpruft aber erst 
nach der dritten Zeitscheibe 30, ob das entsprechende 
Bit des Sicherheitswortes 14 gegenuber dem entspre- 
chenden Bit des Datenwortes 13 invertiert ist. Somit 
wird ein Bit eines Sicherheitswortes 14 nicht nach jeder 
Zeitscheibe uberpruft. 

Die zweite Recheneinheit 3 uberpruft vorzugsweise 
die Abarbeitung der Funktionen und damit die Inverne- 
ss rung der entsprechenden Bits des Sicherheitswortes 14 
im Vergleich zum Datenwort 13 in einem doppelt so 
groBen zeitlichen Abstand, wie die Wiederholfrequenz 
der Abarbeitung der Funktionen ist. Auf diese Weise 
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wird verhindert, daB durch eine kieine Taktverschie- 
bung zwischen der ersten und der zweiten Rechenein- 
heit 2, 3 ein Fehler erkannt wird, obwohl die erste Re- 
cheneinheit 2 richtig arbeitet 

Der Zeitabstand zwischen der Invertierung eines Bits 5 
im Datenwort 13 und der Oberprufung des entspre- 
chenden Bits des Sicherheitswortes 14 kann jedoch ent- 
sprechend den abzuarbeitenden Funktionen angepaBt 
werden. 

Die Funktion der Geschwindigkeitsregelung, die dem 10 
achten Bit des Datenwortes 13 und dem achten Bit des 
Sicherheitswortes 14 entspricht sollte alle 100 ms 
durchgefuhrt werden. Das achte Bit des Sicherheitswor- 
tes 14 wird somit 200 ms nach der Invertierung des 
entsprechenden Bits im Datenwort 13 auf eine Invertie- 15 
rung gegeniiber dem Bit im Datenwort 13 uberpruft 

Die zweite Recheneinheit 3 gibt fur die dritte Zeitebe- 
ne 30 zum Zeitpunkt T3 ein neues Datenwort 13 an die 
erste Recheneinheit 2. Das neue Datenwort 13 wird aus 
dem Datenwort 13, das fur die zweite Zeitebene 20 der 20 
ersten Recheneinheit 2 zugefuhrt wurde, folgenderma- 
Ben bestimmt: Die Bits, die von der zweiten Rechenein- 
heit 3 zuletzt uberpruft wurden und deren Funktionen 
zu diesem Zeitpunkt von der ersten Recheneinheit 2 
abgearbeitet sein sollten, werden im neuen Datenwort 25 
13 gegenuber dem alten Datenwort 13 invertiert Die 
anderen Bits werden von dem Datenwort 13 der zwei- 
ten Zeitebene 20 ubemommen. 

Die erste Recheneinheit 2 vergleicht in der dritten ^ 
Zeitebene 30 das Datenwort 13 mit dem Referenzwort 30 
12, das dem Datenwort 13 der zweiten Zeitebene 20 
entspricht Die Bits, die im Datenwort 13 gegenuber 
dem Referenzwort 12 unterschiedlich sind, werden in 
das Sicherheitswort 14 der dritten Zeitebene 30 ubertra- 
gen, das dem geanderten Sicherheitswort 14 der zwei- 35 
ten Zeitebene 20 entspricht 

In der dritten Zeitebene 30 unterscheidet sich das 
Datenwort 13 von dem Referenzwort 12 im ersten und 
im zweiten Bit Somit schreibt die erste Recheneinheit 2 
das erste und das zweite Bit des Datenwortes 13 in das 40 
Sicherheitswort 14. Dies ist durch eine gestrichelte Mar- 
kierung des ersten und des zweiten Bits des Sicherheits- 
wortes 14 in der dritten Zeitebene 30 angedeutet 

In der dritten Zeitebene 30 werden die Funktionen 
des ersten bis zum siebten Bit des Sicherheitswortes 14 45 
von der ersten Recheneinheit 2 durchgefuhrt 

Dem ersten Bit des Sicherheitswortes 14 entspricht 
die Lageregelung, dem zweiten Bit die Oberwachung 
der Drosselklappe, dem dritten Bit die Durchlaufkon- 
trolle der ersten Recheneinheit, dem vierten Bit der Be- 50 
dienschaiter, dem funften Bit der FullungssteUer, dem 
sechsten Bit die Pedalwertgeberuberwachung und dem 
siebten Bit die Pedalwertgeberauswertung. Da die erste 
Recheneinheit 2 die Funktionen der ersten sieben Bits 

durchfuhrt, werden die ersten sieben Bits des Sicher- 55 
heitswortes 14 von der ersten Recheneinheit 2 inver- 
tiert Dies ist in der dritten Zeitscheibe 30 durch eine 
Stricheiung der ersten sieben Bits angedeutet 

Am Ende der dritten Zeitebene 30 wird zum Zeit- 
punkt T4 das veranderte Sicherheitswort 14 wieder an 60 
die zweite Recheneinheit 3 gegeben. Die zweite Re- 
cheneinheit 3 vergleicht nun die Bits des Sicherheits- 
wortes 14, die nach der Tabelle zu diesem Zeitpunkt von 
der ersten Recheneinheit 2 abgearbeitet sein sollten, mit 
den Bits des Datenwortes 13. 65 

Das Verfahren wird nun in Analogie zu dem Ober- 
gang von der zweiten Zeitebene 20 zur dritten Zeitebe- 
ne 30 bei dem Obergang von der dritte Zeitebene 30 auf 



die vierte Zeitebene 40 weitergefuhrt 

Dadurch, daB die einzelnen Bits des Datenwortes 13 
und des Sicherheitswortes 14 in regelmaBigen Zeitab- 
standen invertiert werden, werden KLurzschJusse oder 
ein fehlerhaftes Halten der Spannung auf einen festen 
Wert auf den Leitungen zwischen der ersten und der 
zweiten Recheneinheit 2, 3 sicher erkannt Damit wer- 
den auch die Leitungsverbindungen zwischen der ersten 
und der zweiten Recheneinheit 2, 3 auf Fehler uberpruft 

Fig. 3 zeigt schematisch ein Datenwort 13 fur eine 
vorgegebene Anzahl von Funktionen, die regelmaBig in 
den in KJammern angegebenen Zeitabstanden von der 
ersten Recheneinheit 2 abgearbeitet werden sollen und 
damit auch in entsprechenden Zeitabstanden von der 
zweiten Recheneinheit 3 die Abarbeitung uberpruft 
wird. 

Vorzugsweise sind die Bits eines Datenwortes 13 so 
gewahlt, daB mindestens ein Bit mit dem Wert 1 und 
mindestens ein Bit mit dem Wert 0 vorgesehen sind. 
Damit kann eine Leitungsstorung wie z. B. ein Kurz- 
schluB, der zwischen der ersten und der zweiten Re- 
cheneinheit 2, 3 auftritt und die Werte aller Bits auf 1, 
d. h. auf ein hohes Potential, oder 0, d. h. ein niedriges 
Potential festlegt, nachgewiesen werden. 

Patentanspriiche 

1. Verfahren zur Oberpriifung der Funktionsfahig- 
keit einer ersten Recheneinheit (2), der von einer 
zweiten Recheneinheit (3) ein Datenwort (13) vor- 
gegeben wird, das von der ersten Recheneinheit (2) 
verandert wird und die zweite Recheneinheit (3) 
uberwacht, ob das Datenwort (13) von der ersten 
Recheneinheit bis zu einem vorgegebenen Zeit- 
punkt verandert wird, dadurch gekennzeichnet, 

— daB mindestens ein Bit des Datenwortes 
(13) einer Funktion zugeordnet ist, 

— daB von der ersten Recheneinheit (2) das 
entsprechende Bit verandert wird, wenn die 
Funktion von der ersten Recheneinheit (2) ab- 
gearbeitet wird. 

2. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB die zweite Recheneinheit (3) zu einem 
vorgegebenen Zeitpunkt (Tl, T3) das Datenwort 
(13) vorgibt daB die erste Recheneinheit (2) das 
Datenwort (13) mit einem Referenzwort (12) ver- 
gleicht und die Bits, die gegenuber den entspre- 
chenden Bits des Referenzwortes (12) unterschied- 
lich sind, in ein Sicherheitswort (14) einschreibt, daB 
die erste Recheneinheit (2) nach Abarbeitung einer 
Funktion das der Funktion zugeordnete Bit des Si- 
cherheitsworts (14) andert, und daB die erste Re- 
cheneinheit (2) zu einem vorgegebenen Zeitpunkt 
(T3, T4) das Sicherheitswort (14) an die zweite Re- 
cheneinheit (3) ausgibt. 

3. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB die zweite Recheneinheit (3) aus dem 
bisherigen Datenwort (13) ein neues Datenwort er- 
mittelt und dieses zu einem vorgegebenen Zeit- 
punkt (T3) der ersten Recheneinheit (2) vorgibt, 
wobei die zweite Recheneinheit (3) im neuen Da- 
tenwort im Vergleich zum bisherigen Datenwort 
mindestens das Bit verandert dessen Funktion von 
der ersten Recheneinheit (2) in einem vorgegebe- 
nen Zeitraum abgearbeitet werden solL 

4. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB die erste Recheneinheit (2) das von 
der zweiten Recheneinheit (3) zugefuhrte Daten- 
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wort (13) als Referenzwort (12) ablegt und beim 
Vergleich mit dem nachsten zugefuhrten Daten- 
wort (13) als Referenzwort (12) verwendet 

5. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB die erste Recheneinheit (2) das veran- 5 
derte Datenwort (13) als Sicherheitswort (14) an die 
zweite Recheneinheit (3) zuruckgibt, daB die zweite 
Recheneinheit (3) mindestens ein Bit des Sicher- 
heitswortes (14) mit einem Vergleichswert ver- 
gleicht. 10 

6. Verfahren nach Anspruch 5, dadurch gekenn- 
zeichnet, daB die zweite Recheneinheit (3) ein Bit 
des Sicherheitswortes (14) in vorgegeben Zeitab- 
standen uberpruft, die von der dem Bit zugeordne- 
ten Funktion abhangen. 15 

7. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB mindestens ein Bit des Datenwortes 
(13) den Wert 1, d h. einen High-Zustand, und min- 
destens ein Bit des Datenwortes (13) den Wert 0, 

d. h. einen Low-Zustand, aufweist 20 
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